如何验证 IDFV (identifierForVendor) 的供应商？

Question

我正在考虑使用 IDFV 创建后台用户帐户，以通过我的 iOS 应用程序中的 Oauth2 访问我的 REST API。虽然我不太关心用户通过我的应用程序访问服务，但我想阻止（劝阻）人们自行访问 API，但我不想强迫应用程序的用户“注册”，因此使用 IDFV 的想法。

但问题是，如果服务器开始接收来自新 IDFV 的请求，是否有办法使用我的供应商名称对其进行哈希检查，以至少知道有人不只是向我发送随机生成的请求？

Answer 1

不，IDFV 是一个不透明的值。 UUID 中没有指示用于生成它的原始源数据。

IDFV 的目的是在某些设备上识别您的应用的唯一实例，而不是识别您的应用。

在我看来，在您的应用之外使用您的 API 的人可能会从流量捕获开始，最终只是简单地重放捕获的 IDFV 值。

另一种方法是让您的应用从服务器请求一个时间敏感的随机数。然后，应用程序必须散列这个值并返回它以获取会话密钥。然后，该应用程序会在每个请求中包含该会话密钥。一段时间后，它必须请求一个新的会话密钥。

这种方法并非万无一失，因为攻击者可以反编译您的应用程序并确定您的哈希技术，但它肯定会提高标准。